EmEditor 公式サイトのインストーラー導線改ざん、最大約2週間の確認を推奨-複数の偽署名MSIが混入|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年01月09日更新日時: 2026年01月09日

Emurasoftは2026年1月7日、テキストエディター「EmEditor」の公式サイトで発生したセキュリティインシデントについて、追加情報と全体の整理を公表しました。

概要

問題は、公式サイト上のダウンロードリンク（「今すぐダウンロード」ボタンやダウンロードページ／ブログページ内リンク）が第三者により改ざんされ、正規の配布先ではなく、サイト内に不正に設置されたMSIファイルへ誘導される状態になっていた点です。その結果、マルウェアを含む可能性がある「emed64_25.4.3.msi」「emed64_25.4.4.msi」がダウンロードされ得る状況が発生しました。

影響が疑われる期間、最大で「2025/12/20〜2026/1/2」

同社は安全側に幅を広げた「確認推奨期間」として、日本時間2025年12月20日11:39〜2026年1月2日01:51（UTCでは2025-12-20 02:39〜2026-01-01 16:51）を提示しました。この期間中に、公式サイトから「emed64_25.4.3.msi」または「emed64_25.4.4.msi」を入手した場合、Emurasoftが提供する正規ファイルではない別ファイルがダウンロードされた可能性があるとしています。以前は「別件」として案内していた事象も、改ざん手口が同一であることなどから、同一攻撃者による一連の攻撃だった可能性が高いとして期間を統合しました（ただし同一攻撃者である点は推定で、今後更新の可能性があるとしています）。

新たに判明した改ざんファイル：偽署名「GRH PSYCHIC SERVICES LTD」

ユーザーからの報告と同社調査により、追加で問題ファイルの存在が確認されました。新たに判明した一例として、**2025年12月28日04:38〜2026年1月1日10:06（JST）**の間に、サイト内（wp-content/uploads配下）に置かれていた「emed64_25.4.3.msi」が挙げられています。このファイルには、**Emurasoft, Inc.ではない署名者（GRH PSYCHIC SERVICES LTD）**のデジタル署名が付いており、同社はVirusTotalの結果やSHA-256も公開しました。なお同社は、既報以外にも異なる改ざんファイルが混入していた可能性を否定できないとしており、期間中に入手したMSIは「署名者がEmurasoft, Inc.か」を確認するよう求めています。

正規ファイルは「Emurasoft, Inc.」署名、問題ファイルは署名者が異なるのが特徴

同社が示した「問題のない正規ファイル」は、配布先が「download.emeditor.info」で、デジタル署名の署名者がEmurasoft, Inc.となっているものです。一方、影響が確認されている問題ファイルは、同じファイル名を装いながら署名者がWALSHAM INVESTMENTS LIMITEDやGRH PSYCHIC SERVICES LTDになっており、署名の有効期間が数日と短い点も特徴だとしています。EmurasoftはMicrosoftに対して、問題ファイルを添付して報告し、当該デジタル署名の無効化を要請したとしています。

影響を受けないケース：更新チェッカーや自動更新、ポータブル版、ストア版など

同社によると、以下のケースは本件の影響を受けません。

EmEditorの「更新チェッカー」経由、または自動更新（署名者がEmurasoft, Inc.であることを自動確認するため）
「emed64_25.4.3.msi」「emed64_25.4.4.msi」以外
ポータブル版、ストアアプリ版、wingetでの導入／更新
問題ファイルを入手しても実行していない場合

利用者が取るべき確認：デジタル署名の署名者チェック、削除済みでも残存MSIに注意

該当期間に公式サイトからMSIを入手した可能性がある場合、Windows上で対象MSIのプロパティを開き「デジタル署名」タブから、署名者が**Emurasoft, Inc.**であることを確認するよう案内しています。署名タブが出ない場合も含め、署名者が一致しないファイルは実行せず削除し、後述の対応を検討するよう求めています。

また、ダウンロードしたMSIを既に削除していても、インストール時に参照されたMSIがC:\Windows\Installer配下に別名で残ることがあるとして注意喚起しています。日付で並べ替え、比較的新しいファイルを中心に、MSIの署名確認を行うよう推奨しています（この際、誤って実行しないよう注意が必要です）。

感染の可能性が高い兆候と、想定されるリスク

同社は、問題ファイルを実行しても環境によっては感染に至らない場合がある一方、次の兆候がある場合は感染している可能性が高いとしています。例として、特定ログファイルの存在、スケジュールタスク「Google Drive Caching」、ローカルフォルダ内の特定ファイル、Chromium系ブラウザの拡張機能「Google Drive Caching」などを挙げています。加えて、cachingdrive.comや「emeditor」を装う複数ドメインへの通信痕跡がある場合も警戒すべきだとしています。

同社が参照する分析では、マルウェアは多段階で外部からコードを取得し、ブラウザ情報（Cookieや保存パスワード等）を狙う情報窃取、常駐、拡張機能の強制導入、クリップボード監視による暗号資産アドレスすり替え、フォーム窃取など、被害拡大につながりうる挙動が示されています。結果として、各種アカウントの不正ログイン、情報漏えい、金融詐欺、広告アカウント悪用などの二次被害に発展するリスクがあるため、署名不一致のMSIを実行してしまった場合は、ネットワーク切断、マルウェアスキャン、必要に応じた環境再構築、パスワード変更や多要素認証の有効化などを推奨しています（「アンインストールだけでは不十分」と明言しています）。

原因は調査中、WordPressから静的サイトへ移行

侵入経路は調査中としつつ、同社はWordPress（本体・プラグイン・テーマ等）由来の脆弱性が残存していた可能性、あるいはSFTPアカウントが攻撃対象になった可能性を排除できないと説明しました。対策として、問題ファイルの削除とサイト一時閉鎖、差分調査での改変痕跡確認を経て、再発リスクを下げるためWordPressの利用を中止し、HTMLベースの静的サイトへ移行したとしています。これに伴いフォーラムは閲覧専用となり、新規メンバー登録は終了しました。一方で、同社は「エムソフトカスタマーセンター」や顧客データベースが攻撃を受けた証拠は確認されていないとも説明しています。